Дава ли TLS обвивката частна мрежа? Обикновено не

TLS защитава канал между две крайни точки и не казва нищо за това кои услуги се намират вътре в него. Обвивката превръща този канал в един конфигуриран препращач — за един слушател, към една дестинация. Продукт, продаван като SSL VPN, обикновено добавя интерфейс, таблица за маршрутизация и модел за достъп около същия примитив. Да объркаш двете е начинът, по който работещ тунел бива сбъркан с мрежов достъп.

Какво всъщност свързва обвивката на услуга

Обвивката слуша на локален порт и препраща това, което пристигне, към конфигурирана дестинация — хост и порт или локална програма. Тази дестинация се избира от този, който е написал конфигурационния файл, по един слушател наведнъж. Инсталирането на пакета не създава маршрути, виртуален интерфейс и достъпност за нищо, което не е изрично изброено. Четете конфигурацията преди описанието на пакета, защото описанието покрива клас от употреби, а файлът — вашата.

Затова полезният въпрос за обвивката не е дали тя криптира, а какво стои в двата края на веригата, която тя изгражда.

application -> local listener -> TLS connection -> remote listener -> configured backend

Четете тази верига от конфигурацията, а не от маркетинговото име. Всяка стрелка е отделен мрежов преход със свой адрес и свои правила за достъп.

Открийте къде свършва каналът TLS

Ако обвивката прекратява TLS, всичко, което препраща нататък, е нова връзка с нови свойства. Потокът може да е открит текст в частен сегмент или да носи друг защитен протокол вътре в себе си. Да приемеш едното или другото, без да прочетеш конфигурацията на бекенда, е начинът, по който хората стигат до извода, че външният слой защитава данни, които той повече не вижда. Препратеният преход заслужава собствена проверка, на свой адрес и порт.

Проверявайте слушателя и бекенда поотделно, защото успешно ръкостискане на входната врата не казва нищо за услугата зад нея.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Първата команда показва кой процес притежава порта и на кой адрес слуша. Втората отпечатва сертификата, който клиентът действително получава, а това е проверката на идентичността, която номерът на порта не може да замени.

Какво добавя маршрутизираната VPN, което обвивката не дава

Маршрутизираната VPN инсталира интерфейс, поема собствеността върху избрани префикси и се интегрира с маршрутизацията и политиката за достъп на хоста. Всяко приложение на машината печели, без да знае, че тунелът съществува. Обвивката дава този обхват на един конфигуриран слушател и спира дотам.

Допускането е отново отделно. VPN, която удостоверява клиент, все още се нуждае от оторизация, която казва кои ресурси може да достигне клиентът, а обвивка, която удостоверява партньор, все още се нуждае от бекенд, който налага собствените си разрешения.

Има законна комбинация: VPN протокол, пренасян вътре в TLS обвивка при умишлено поддържана TCP подредба. Това натрупва два слоя и не прави обвивката и VPN един и същи вид обект.

Сравнете границата, която се проваля

Запишете адреса на предния край, слушателя, идентичността на партньора, целта на бекенда и операцията на приложението, преди да промените нещо. След това сравнявайте подобно с подобно: успех през различно име на хост или порт не доказва, че условията на защитната стена и сертификата са били идентични.

Отхвърлена заявка към бекенда никога не бива да се поправя чрез изключване на проверката за идентичност на предния край. Така се заменя диагностицируем отказ на оторизацията с недиагностицируем отказ на доверието.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Заковаването на името към избран адрес разделя разрешаването на имена от достъпността и обикновено това е най-бързият начин да се разбере кое от двете е счупено.

Сравнението, което има значение, назовава защитената двойка крайни точки, пренасяния полезен товар, приложенията, които го използват, и разрешението, налагано в дестинацията. TLS допринася за това описание, без да го завършва.